6.1 美国消费者隐私 · CCPA 对跨境电商的影响
编号: 06_data_privacy/ccpa_cross_border.md
视角: California Consumer Privacy Act (CCPA) + 2023修正案
适用对象: 任何收集加州居民个人信息的跨境电商企业
更新日期: 2026-06-08
一、CCPA 是否适用你
关键标准: 是否向加州居民销售商品/服务，且满足以下任一条件：
- 年总收入超过 $25,000,000（约 1.8 亿人民币）
- 每年购买/接收/出售 100,000 个加州居民的个人信息（2023年修正后门槛降低，不限设备数量）
- 收入的 50% 以上来自"销售"消费者个人信息
很常见的适用场景:
- 你在亚马逊上向全美销售，而加州是全美最大消费市场——你必然收集了加州居民的信息
- 即使你在中国境内运营，只要你的网站/App/Listing 能被加州居民访问并使用，CCPA 就可能适用
二、CCPA 赋予消费者的权利
| 权利 | 内容 | 企业需回应时限 |
|---|---|---|
| 知情权 | 消费者有权知道你收集了什么信息、用途、来源、共享对象 | 45天内 |
| 删除权 | 请求删除其个人信息（有例外） | 45天内 |
| 选择退出 | 拒绝其信息被"销售"或共享用于跨场景行为广告 | 即时生效 |
| 更正权 | 要求更正不准确的个人信息 | 45天内 |
| 限制使用 | 限制敏感个人信息的处理 | 15天内 |
三、什么是"销售"个人信息——比字面意思更广
CCPA 对"销售"的定义非常宽泛，不仅限于用钱交换：
- 用消费者数据换取免费的服务（如Google Analytics免费版）
- 与广告商共享用户行为数据用于定向广告
- 允许第三方在你的站点上安装追踪像素（Meta Pixel、TikTok Pixel）
实操含义: 如果你在 Shopify 或自建站上安装了 Meta Pixel 用于 Facebook 广告再营销——法律上可能构成"销售"个人信息。
四、合规执行要点
4.1 隐私政策更新
- 必须在隐私政策中列明消费者可行使的权利
- 必须提供至少两种提交请求的方式（如在线表单 + 免费电话）
- 必须披露信息"销售"行为（如有）
4.2 技术措施
- 在网站首页提供 "Do Not Sell or Share My Personal Information" 链接
- Cookie Consent Banner 应包含拒绝追踪的选项
- 对使用 GPC（Global Privacy Control）的浏览器自动响应退出请求
4.3 流程建设
- 建立消费者权利请求接收与处理流程（90天内必须回复）
- 对客服团队进行 CCPA 培训
- 与所有数据共享第三方签订 DPA 数据处理协议
五、CCPA 对亚马逊卖家的特殊影响
| 场景 | 风险等级 | 说明 |
|---|---|---|
| 自建站 + 广告追踪 | 高 | 自己的网站上收集数据，直接适用 CCPA |
| 仅亚马逊平台销售 | 中低 | 买家信息由亚马逊控制，但品牌自有网站或邮件列表仍适用 |
| 品牌独立邮箱收集 | 高 | 通过产品包裹卡/社交媒体引导消费者发邮件，即建立自有数据池 |
| 使用第三方数据分析工具 | 中 | 工具提供商也是数据接收方，可能构成"销售" |
六、违规后果
- 民事罚款：每次违规 $2,500（非故意）到 $7,500（故意）
- 私人诉讼权：仅针对数据泄露——法定赔偿 $100-$750/消费者/事件
- 加州总检察长执法：首违给予30天整改期，逾期后逐日计罚
七、起步行动清单
- 评估是否达到 CCPA 适用门槛
- 盘点所有收集消费者数据的触点（网站、广告像素、邮件列表、客服系统）
- 修改官方网站隐私政策，增加 CCPA 条款
- 添加 "Do Not Sell or Share My Personal Information" 链接
- 建立消费者权利请求处理流程（指定负责人）
- 审查所有使用第三方追踪工具的业务流程